LDAPNightmare: Ora Anche Su GitHub, ma con il Bonus Infostealer!

Redazione RHC : 13 Gennaio 2025 14:46

I ricercatori hanno scoperto un falso exploit per l’ultima vulnerabilità CVE-2024-49113 (nota anche come LDAPNightmare) su GitHub. L’exploit ha infettato gli utenti con un infostealer che ruba dati e li invia a un server FTP di terze parti.

Gli specialisti di Trend Micro affermano che il repository dannoso apparentemente conteneva un fork di un exploit PoC legittimo per il CVE-2024-49113, creato da SafeBreach Labs e pubblicato il 1 gennaio 2025.

La vulnerabilità stessa è stata risolta dagli sviluppatori Microsoft nel dicembre 2024. Il bug è correlato al protocollo LDAP (Lightweight Directory Access Protocol) di Windows ed è una delle due vulnerabilità risolte in LDAP il mese scorso (il secondo problema è il CVE-2024-49112).

Prova la Demo di Business Log! Adaptive SOC italiano Log management non solo per la grande Azienda, ma una suite di Audit file, controllo USB, asset, sicurezza e un Security Operation Center PERSONALE, che ti riporta tutte le operazioni necessarie al tuo PC per tutelare i tuoi dati e informati in caso di problemi nel tuo ambiente privato o di lavoro. Scarica ora la Demo di Business Log per 30gg Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Allo stesso tempo, il CVE-2024-49113 è una vulnerabilità di DoS, mentre il secondo problema ha ricevuto lo stato di critico e ha consentito l’esecuzione remota di codice arbitrario.

Vale la pena notare che gli specialisti di SafeBreach Labs inizialmente si sbagliavano e scrivevano che il loro exploit era adatto specificamente al problema più serio CVE-2024-49112 e non al CVE-2024-49113. E anche se l’errore è stato presto corretto, LDAPNightmare ha attirato molta attenzione, di cui probabilmente gli aggressori hanno deciso di approfittare.

Il download di un falso exploit da un repository dannoso ha prodotto un file eseguibile poc.exe contenente UPX, che ha distribuito uno script PowerShell nella cartella %Temp% sul sistema della vittima. Questo script creava un lavoro pianificato che eseguiva uno script codificato che recuperava un terzo script da Pastebin.

Il payload risultante raccoglieva informazioni sul computer della vittima, un elenco di processi, un elenco di directory, un indirizzo IP, informazioni sull’adattatore di rete e informazioni sugli aggiornamenti installati e caricava il tutto come archivio ZIP su un server FTP esterno.

Trend Micro ricorda agli utenti GitHub che utilizzano exploit pubblici a scopo di ricerca o test di prestare sempre attenzione. In genere è meglio fidarsi solo di società di sicurezza informatica ben note e di ricercatori con una buona reputazione. Si consiglia inoltre di studiare il codice prima dell’esecuzione, caricare i file binari su VirusTotal e saltare qualsiasi cosa offuscata.

Notiamo che tali tattiche nel loro insieme non possono essere definite nuove. Pertanto, su GitHub sono stati scoperti più di una volta malware mascherati da falsi exploit per vari bug .

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli